蜂群攻击下，DDoS 防护阈值与告警如何分层

先给结论：面对报告所说的“蜂群”（swarms）攻击，关键不是把总带宽阈值一路调低，而是把检测拆成边缘流量、接口行为、业务后果三层；防护阈值可以更敏感、动作可回退，告警阈值则应更保守、带上下文。短促高频流量的难点是窗口错配，不是缺一个更大的数字。

报告里的“蜂群”变了什么#

Cloudflare 2026 年第三季度 DDoS 报告称，其网络在该季度自动缓解了约 1,820 万次网络层 DDoS 攻击和 14.4 万亿次 HTTP DDoS 请求，折合约每小时 8,226 次网络层攻击，约每 0.44 秒一次。更值得开发者注意的是结构变化：持续低于 10 分钟、带宽低于 1 Gbps 的短促攻击环比增长 208%；超过 1 Tbps 的超大流量攻击环比下降近 69%；CLDAP 反射放大环比骤降 99.5%，DNS 放大增长 215%，通用 UDP 洪水增长 122%。来源：Cloudflare DDoS Threat Report 2026 Q3。

这些数字来自厂商报告，本文未独立复核。它们至少说明一件事：攻击向量和持续时间都在快速切换。对 API 平台而言，小时级总量、固定 Gbps 阈值或单一协议规则，很容易把短促峰值摊平；等总量告警响起，接口可能已经出现一批 5xx 或超时。

把检测拆成三层，而不是一个总阈值#

“蜂群”不是严格的协议分类，更像一种运营特征：大量短促请求，可能来自分散来源。对 API 平台而言，威胁不一定先表现为带宽打满，也可能消耗连接、队列或热点接口。因此，阈值要按层设置。

表中的窗口和动作是结构示例，不是 API.PLUS 的默认配置。三层的关系是：边缘层回答“流量是否异常”，接口层回答“服务是否被打穿”，业务层回答“用户是否已经受影响”。越往下越接近事故，告警级别越高；越往上越适合自动缓解。

阈值怎么设：相对基线、绝对底线、向量维度#

短促攻击首先要求短窗口。只看 5 分钟聚合，峰值会被平均掉；只设全局 QPS，分布式小流量会藏在正常请求里。更稳妥的组合是：每个路由、租户和密钥维护 1 秒、10 秒、1 分钟的相对基线，同时保留一个绝对底线，防止冷启动或低流量接口被“基线倍数”绕过。

还要看向量维度：新建连接数、SYN/UDP/DNS 比例、来源前缀和 ASN 的分散度、每路由的 4xx/5xx、P95/P99、并发数、队列深度和上游连接错误。单 IP 阈值对分布式来源不够，必要时按前缀或 ASN 聚合，但要注意基数和误伤。防护阈值应比告警阈值更敏感，动作优先选择限速、挑战、排队、熔断等可回退手段；永久封禁要有时限和复核。

告警怎么分层：按用户影响，而不是按包量#

告警和自动缓解不应共用同一个阈值。可按 P1/P2/P3 组织：P1 是用户可见失败，例如核心 API 成功率跌破 SLO、登录或支付连续失败；P2 是缓解已生效，但错误率、延迟或队列仍未收敛；P3 是短窗口异常但业务指标正常，进入观察。这样能避免“每个异常包都叫醒人”，也避免业务已经受损却只收到一条流量提示。

每条告警至少带上路由、租户、时间窗口、基线、当前值、已执行的缓解动作和影响范围。短窗口检测要加连续窗口防抖，例如连续三个窗口超限才升级；边缘层已自动缓解时，抑制重复告警，但保留“缓解未收敛”的升级条件。短促攻击结束后还要有恢复告警和复发检测，否则值班人员只看到开始，看不到结束。

在 API.PLUS 上落地的顺序#

1. 先统一日志字段：路由、租户、密钥标识（脱敏或哈希）、状态码、延迟、上游错误、来源前缀。没有这些字段，分层只能停留在总 QPS。
2. 补齐 1 秒、10 秒、1 分钟的聚合，再谈阈值。只有分钟级数据时，不要假设它能抓住短促峰值。
3. 先“只告警、不自动处置”运行一段时间，校准基线和误报；确认告警能定位到路由和租户后，再逐层开启可回退的缓解动作。
4. 把报告中的向量变化纳入规则复核：CLDAP 会退潮，DNS 放大和 UDP 洪水会补位，规则不能只针对上一季度的热点。

边界需要说明：API.PLUS 当前的默认限流阈值、WAF/告警能力和套餐差异，材料未提供，待核实。本文给出的是分层方法，不是对 API.PLUS 现有防护效果的实测结论。若平台暂时没有秒级指标，优先补采集；否则“蜂群”攻击很可能只会在事后报表里留下一个被平均过的尖峰。